Semperis DSP：增强 AD 和 Entra ID 的网络威胁防护

将 Domain Admin 同步进 Entra ID 会让攻击者在攻陷本地 AD 后转向云端，并可通过密码回写反向渗透回本地。CIS 与 Microsoft 均建议特权管理员账号保持纯云（cloud-only）。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

AD 原生仅支持智能卡 MFA，组织多在终端叠加 Windows Hello for Business、Duo 等方案。文章概览本地与混合环境的落地方式与自适应认证。

提升 Entra ID 资源可恢复性的四大理由：错误配置普遍、回收站保护仅 30 天、服务主体等对象被硬删除、混合环境恢复缺口。文章介绍 Semperis DRET 的应对能力。

混合身份攻击可能清空仅存在于云端的对象。Semperis Recovery for Azure AD 可备份恢复用户、组、角色对象（含硬删除对象），加速攻击后恢复。

企业将 Microsoft Entra ID（原 Azure AD）与本地 AD 融合之际，本文剖析混合身份管理的主要风险——首当其冲的是跨环境权限治理——并呼吁云身份整合先评估、后落地。